Planificar requisitos y ciclo de vida de Sophos Endpoint
Un agente instalado no conserva automáticamente el soporte a largo plazo. Sistema, arquitectura, componentes, certificados y licencias evolucionan por separado. Una operación fiable comprueba no solo si la instalación funciona hoy, sino cuándo termina el soporte y cómo se introducen nuevas versiones.
Alcance: Endpoint no es Server ni Linux
Esta guía trata Sophos Endpoint para puestos Windows y macOS. Windows Server se administra en Server Protection; las cargas Linux utilizan Sophos Protection for Linux, con requisitos, Release Notes y fechas propios. Una fila Server o Linux del Retirement Calendar común no autoriza Endpoint y debe tratarse en otro Runbook.
Estado de planificación verificado el 29 de octubre de 2026
La versión del producto, el sistema operativo y el contrato de soporte describen límites distintos:
| Área | Estado confirmado y consecuencia |
|---|---|
| Agente Windows | Las notas vigentes de Core Agent incluyen 2026.3.0.2090 en el apartado Windows 10 64-bit and later. Ese título no aprueba de forma general cualquier edición, build o arquitectura de Windows. |
| Windows Legacy | Windows 7, Windows 8.1 y Windows 10 de 32 bits figuran en un apartado Legacy separado. Que un componente siga apareciendo allí no implica el mismo alcance funcional ni las mismas correcciones que en plataformas actuales; puede ser necesaria una licencia Legacy adicional. |
| Agente macOS | Las notas vigentes de macOS indican 2026.2.0, compatible con macOS 27 Golden Gate. La combinación exacta de hardware y sistema operativo, y la instalación nueva frente a la actualización, siguen requiriendo comprobaciones separadas. |
| Ciclo de vida de Windows | El soporte ordinario de Microsoft para Windows 10 Home y Pro terminó el 14 de octubre de 2025. La entrada también incluye Pro Education y Pro for Workstations. Las versiones LTSC existentes tienen sus propios plazos; Extended Security Updates constituye un derecho separado. |
La versión de Windows Core Agent y el dato de macOS son versiones documentadas, no una garantía de que ya se ofrezcan en todos los tenants. Del mismo modo, actualizar un componente de Sophos no cambia el fin de soporte del sistema operativo. Microsoft ESU cubre el sistema operativo; Sophos Endpoint for Legacy Platforms se refiere a la protección de Sophos. Ninguna de las dos ofertas incluye automáticamente la otra. Para un dispositivo antiguo deben ser trazables ambos derechos y sus plazos.
Por ejemplo, un equipo Windows 10 Pro con estado de salud correcto en Sophos no recupera por ello el soporte ordinario de Microsoft. Antes de autorizar su continuidad, se registran por separado el build y la edición del sistema operativo, el posible derecho a ESU, el estado concreto del soporte Sophos y una fecha vinculante de migración. Un equipo LTSC se evalúa según su propia entrada de producto, no según el plazo de Home/Pro.
Límite del alcance: Los requisitos siguientes se contrastaron el 29 de octubre de 2026 con la KBA de Windows del 18 de septiembre, la KBA de macOS del 28 de septiembre y el Retirement Calendar del 9 de octubre de 2026. Se evalúan conjuntamente los recursos, la compatibilidad del sistema operativo y el fin del soporte. Una versión que todavía figura en la lista puede estar ya cerca de su fecha de retirada.
Snapshot de aprobación y decisión de ciclo de vida
Los números de versión concretos y los límites de soporte quedan obsoletos con rapidez. Por ello, el responsable del ciclo de vida realiza la misma revisión controlada antes de una primera instalación, una actualización del sistema operativo, un cambio de paquete y, como mínimo, cada mes. El punto de partida es un snapshot de inventario con tipo de dispositivo, edición y build completo del sistema operativo, arquitectura, CPU, memoria, espacio libre en la unidad del sistema, cifrado, alcance de protección necesario y componentes Sophos instalados con sus versiones.
Para cada nueva aprobación, abrir los requisitos de Windows, los requisitos de macOS y el Retirement Calendar para plataformas y sistemas operativos, mantenidos en línea, y contrastarlos conjuntamente. El registro de aprobación incluye fecha de comprobación, entrada revisada, plataforma y arquitectura, aptitud para instalación y actualización, requisitos mínimos, exclusiones, Maintenance, Retirement, condiciones de licencia o Extended Support y todas las notas al pie. Un snapshot guardado prueba una decisión, pero no constituye una lista de soporte permanente; se sustituye en el siguiente cambio y se registra la diferencia.
La decisión se marca como aprobada, solo piloto, migración necesaria o no aprobada. Incluye responsable, alcance, funciones necesarias, limitaciones conocidas, plazos del fabricante y de Sophos, objetivo de migración y fecha de la próxima revisión. Si falta la entrada exacta de sistema operativo/arquitectura, hay datos contradictorios o la matriz no está disponible, no se emite una nueva aprobación: se mantiene sin cambios el último estado aprobado, el responsable documenta la hora de consulta y la ambigüedad y la resuelve con Sophos Support antes del piloto.
Requisitos de Windows y límites de soporte
La tabla de requisitos de Windows distingue expresamente el alcance de protección. Los valores se refieren a puestos de trabajo, no a Windows Server:
| Alcance de protección | Espacio libre en disco | RAM | Núcleos de CPU |
|---|---|---|---|
| Endpoint Protection | 4 GB | 4 GB | 2 |
| EDR/XDR/MDR: mínimo | 8 GB | 4 GB | 2 |
| EDR/XDR/MDR: recomendación | 8 GB | 16 GB | 4 |
Sophos recomienda encarecidamente una SSD como unidad de arranque. Los requisitos de recursos también se aplican al modo Sensor; este no es compatible con plataformas Legacy. Los valores de hardware por sí solos no convierten un sistema operativo antiguo en una plataforma plenamente compatible.
Windows 10 de 64 bits y Windows 11 figuran en la KBA como plataformas plenamente compatibles. La KBA complementaria sobre ARM64 del 27 de octubre de 2026 confirma expresamente Windows 10 y Windows 11 en ARM64; Insider Preview no es compatible. Windows 7 y 8.1 requieren Extended Support para el soporte Legacy; Windows 10 de 32 bits también se clasifica como Legacy. Los plazos de Microsoft y la entrada de retirada concreta de Sophos siguen siendo determinantes adicionales. Especialmente en Windows 10, «plenamente compatible» en la tabla de Sophos no debe confundirse con el soporte ordinario de Microsoft.
Para Windows, compruebe por separado la edición y el build completo, x64 o ARM64, CPU y memoria, espacio libre y unidad del sistema, actualizaciones y certificados Microsoft requeridos y el modo de protección deseado frente a la entrada vigente. Los valores mínimos son condiciones de acceso, no recomendaciones de capacidad. El espacio libre en disco para instalación y actualizaciones es distinto de la RAM. Una recomendación para cargas EDR, XDR o MDR no se adopta como mínimo de otra categoría de producto; la columna y el alcance de licencia deben corresponder al dispositivo. Los builds Insider, Preview y otras versiones preliminares no están aprobados salvo que la entrada exacta los incluya expresamente.
Registre también la fecha de fin de soporte de Microsoft para esa edición y rama de versión exactas. Instalación correcta, estado saludable y soporte vigente de la plataforma son tres afirmaciones distintas. Windows Server no es un Endpoint Windows aunque tenga un build similar y queda fuera de esta aprobación.
Requisitos de macOS y límites de soporte
Para macOS, compruebe la versión completa del sistema operativo, Intel o Apple Silicon, espacio libre, método de instalación y alcance de protección requerido. El paquete de aprobación también incluye los perfiles MDM utilizados para System Extensions, Network Extensions, filtrado web/de contenido, Full Disk Access y notificaciones. Por tanto, una fila de sistema operativo coincidente no demuestra por sí sola una protección eficaz.
Requisitos y plazos, comprobados el 29 de octubre de 2026: La KBA de macOS del 28 de septiembre de 2026 enumera macOS 14, 15, 26 y 27, Mac Intel de 64 bits y Apple Silicon M Series. Para Endpoint Protection e Intercept X Advanced (MDR Included) indica, en cada caso, 2 GB de RAM y 2 GB de espacio libre en disco. Las Release Notes indican el agente 2026.2.0 para macOS 27 Golden Gate.
La lista de sistemas operativos debe leerse junto con el Retirement Calendar más reciente, del 9 de octubre de 2026: macOS 14 Sonoma alcanza su retirada a finales de octubre de 2026, y macOS 15 Sequoia, a finales de octubre de 2027. Para macOS 26 y 27, el calendario revisado todavía no indica una fecha de retirada prevista. Esto no supone una garantía de soporte indefinido. Según el calendario, no existe Extended Support para macOS. Por tanto, un Mac Sonoma que siga en uso necesita ahora una ruta de actualización comprobada; su presencia en la tabla de requisitos no prolonga el plazo.
La tabla conjunta de Sophos no garantiza que cada arquitectura enumerada pueda ejecutar todas las versiones de macOS: Apple exige Apple Silicon para macOS 27; los Mac Intel no son aptos. Apple incluye los Mac M-Series y A-Series, mientras que Sophos menciona expresamente M Series en su matriz. Por tanto, la aprobación de Apple por sí sola no confirma la compatibilidad de Sophos en un Mac A-Series. Hay que aclarar esta combinación con Sophos antes de una nueva aprobación, en lugar de deducir de la redacción que existe o no compatibilidad. Instalar Sophos Endpoint en macOS describe el procedimiento concreto de instalación y validación.
Pruebe cada versión principal o puntual nueva de macOS, incluida la aptitud vigente del instalador y de la actualización, en un Mac piloto representativo. Registre expresamente las diferencias entre una instalación nueva y un agente existente; «macOS compatible» no implica que ambas rutas o todas las funciones sean compatibles. Acepte Extended Support solo si la entrada exacta de macOS lo indica.
Revisión de componentes y versiones
Sophos Endpoint consta de componentes que se actualizan de forma independiente, como AutoUpdate, Endpoint Defense, Health Service, Management Communication, Network Threat Protection, Endpoint UI y módulos sujetos a licencia. Una fase de producto en Central o un único número de versión local no describen el estado completo.
En este punto exacto de la revisión, el responsable del ciclo de vida abre, según la plataforma, el flujo actualizado de Sophos Core Agent para Windows o Sophos Anti-Virus para macOS. En cada revisión se capturan en directo el build de destino, el estado del despliegue, las correcciones y las limitaciones conocidas. El registro de versión documenta esa comprobación puntual y no sustituye una nueva comprobación en la siguiente revisión.
El registro de versión recoge hora de comprobación, plataforma, nodo de producto/versión seleccionado, aviso de publicación y despliegue, builds de componentes, correcciones, problemas conocidos y diferencias respecto de la entrada anterior. El responsable asigna cada elemento a las funciones utilizadas y a los dispositivos piloto y decide aprobar, aplazar o rechazar. Un flujo vacío, que no carga o contradictorio no constituye una aprobación: conserve captura o error, compruebe parámetros de selección y red, reintente más tarde y aclare con Sophos Support toda ambigüedad persistente. Hasta entonces quedan bloqueadas la asignación del paquete y la siguiente fase.
Probar recursos y software de terceros en el piloto
El mínimo oficial es solo el umbral de entrada. Un piloto representativo mide arranque e inicio de sesión, CPU, memoria, espacio e I/O con el software real. Incluya SSD/HDD, cifrado, DLP, backup, VPN, control remoto y allowlisting como atributos de la muestra.
Ante una regresión, utilice Sophos Performance Analysis y logs de componentes. No desactive globalmente protección ni Event Journals. Toda medida temporal de alcance estrictamente limitado requiere responsable, fecha final, aceptación de riesgo y nueva prueba; la solución duradera puede ser un fix, upgrade o sustitución de hardware.
Entender los lanzamientos por fases
Sophos puede publicar Release Notes el primer día de un despliegue de varias semanas. Una versión documentada puede no estar disponible de inmediato en todos los tenants o endpoints.
Esto evita dos errores:
- Un dispositivo no está automáticamente desactualizado por no recibirla el primer día.
- Una reinstalación manual no fuerza de forma fiable una fase aún no asignada.
Fases piloto y producción
Software Packages y Update Management Policies permiten fases controladas:
- Piloto: TI y combinaciones representativas de hardware, OS y software.
- Producción inicial: pequeña muestra tras superar los criterios.
- Producción: asignación amplia después de aprobar el cambio.
- Paquete fijo: solo por necesidad justificada, con responsable y caducidad vigilada.
Compruebe nombres, disponibilidad, tipo de soporte, caducidad y solapamiento en Sophos Fusion (antes Sophos Central) y en la página actual Software packages. Este artículo no fija duraciones. Separe actualizaciones de contenido de seguridad y versiones de producto.
Defina dispositivos sanos, componentes esperados, ausencia de nuevas concentraciones de alertas y rendimiento aceptable como criterios. Prepare el rollback: detenga la asignación, aísle el grupo, conserve la evidencia de Policy y Package, reasigne un paquete que Sophos ofrezca actualmente y que ya se haya probado y vuelva a comprobar. Un downgrade manual o instalador antiguo no es fiable.
Extended Support es transitorio
Interpretar el nombre de licencia: Sophos denomina el complemento Sophos Endpoint for Legacy Platforms; antes se llamaba Central Extended Support for Server 2012/2012 R2. Complementa derechos Endpoint o Workload Protection válidos, no los sustituye. El anuncio del 28 de agosto de 2025 describe plataformas legacy Windows y Linux, no una autorización de OS actual y permanente. Para contratar, contrastar plataforma exacta, duración y alcance confirmado con la oferta. No deducir cobertura de todas las versiones antiguas Windows/Linux ni de macOS legacy.
«Legacy» o «Extended Support» es una transición, no una autorización general. Consulte en el Retirement Calendar la entrada exacta del OS cliente, fechas de Maintenance y Retirement, funciones y posible licencia. Asigne una fecha límite de migración a cada dispositivo.
Las filas Windows Server y Linux no pertenecen al grupo Endpoint. Planifíquelas según los requisitos y las licencias específicos de Server Protection o Sophos Protection for Linux. No presuponga Extended Support para macOS salvo declaración expresa de Sophos para esa versión.
Planificar reinicios
Sophos no siempre fuerza un reinicio necesario. Las actualizaciones de protección pueden continuar mientras un componente espera mantenimiento.
Dispositivos sin reiniciar durante mucho tiempo pueden necesitar varios estados consecutivos, cada uno con otro reinicio. Deje tiempo para procesar cada ciclo y revise Central Alerts y software local tras cada reinicio.
Early Access Programs
Un EAP no es un canal productivo normal. Antes de participar, defina finalidad, dispositivos, cambios, soporte, salida y privacidad.
Los dispositivos EAP pertenecen a un grupo piloto claro. Tras salir, compruebe cuándo regresan a la versión normal. No habilite EAP en sistemas críticos solo para eludir un problema sin causa raíz.
Aplicar, validar y diagnosticar
El técnico ejecutor aplica solo el paquete aprobado en el registro de aprobación al grupo piloto definido; se excluyen cambios improvisados de instalador, downgrades manuales y paquetes de instalación antiguos. Antes se conservan grupo de dispositivos, asignaciones de política y paquete, versiones de componentes, estado, alertas abiertas y una prueba funcional reproducible. Durante la observación no cambian el grupo objetivo ni los criterios de éxito.
Tras la instalación, la actualización y cada reinicio necesario, compruebe en Central Last active, estado y alertas, y localmente el estado de servicios y las versiones de componentes esperadas. Repita después las mismas pruebas de antes y después: inicio de sesión y tiempo de arranque, recepción de políticas, capacidad de actualización, prueba de malware según el procedimiento interno, protección de red/web y todas las funciones sujetas a licencia. En macOS, demuestre además que extensiones y permisos de privacidad están activos. El responsable concilia el resultado con el registro de versión y el registro de aprobación y documenta las diferencias en ambos; solo un piloto completamente superado abre la siguiente fase.
Clasifique primero el fallo: plataforma no aprobada, instalador bloqueado, componente desactualizado, despliegue aún no ofrecido, reinicio pendiente, permiso MDM ausente o conflicto con terceros. Reúna hora, dispositivo, build completo, arquitectura, paquete y política de Central, todas las versiones, estado/alertas, reinicio, pasos reproducibles y logs relevantes. Detenga la asignación a más dispositivos y revierta aisladamente el último cambio si Central ofrece para ello un paquete vigente y ya probado. No desactive globalmente la protección ni fuerce un instalador antiguo. Si la causa o una vía segura de retorno siguen sin estar claras, aísle el piloto, marque el registro de versión como aplazado y entregue este paquete de diagnóstico a Sophos Support.
Revisión mensual del ciclo de vida
Incluye:
- revisar Endpoint y Central Release Notes,
- comparar Retirement Calendar con plataformas usadas,
- exportar dispositivos por sistema, arquitectura y Agent Mode,
- asignar responsable a Legacy e inactivos,
- revisar paquetes Fixed-Term/LTS próximos a caducar,
- resolver Alerts de reinicio y actualización,
- documentar pilotos.
La arquitectura de actualización se explica en Actualizaciones Sophos Endpoint, Cache y Message Relay.